Le groupe Lazarus, lié à la Corée du Nord, a commencé à utiliser la cryptographie post-quantique pour protéger les communications entre les systèmes infectés par des logiciels malveillants et ses opérateurs, selon des chercheurs en cybersécurité de Kaspersky. Le groupe a également utilisé l’intelligence artificielle pour créer de fausses identités d’employés et des courriels d’hameçonnage contenant des liens vers des curriculum vitæ frauduleux.
Kaspersky a enquêté sur une campagne de cyberespionnage visant des entreprises sud-coréennes des secteurs de la construction, des logiciels et des équipements de télécommunications. Les victimes qui ouvraient les liens téléchargeaient un logiciel espion conçu pour rester difficile à détecter tout en dérobant des informations sur leurs ordinateurs.
Les techniques d’hameçonnage n’étaient pas nouvelles, mais les chercheurs ont relevé l’utilisation de mécanismes cryptographiques post-quantiques comme une évolution notable. Ces systèmes sont conçus pour rester sécurisés face aux ordinateurs quantiques, qui sont encore expérimentaux mais pourraient finir par casser certaines formes de chiffrement utilisées aujourd’hui.
Sojun Ryu, chercheur chez Kaspersky, a déclaré que cette technologie suggérait que Lazarus s’attaquait déjà aux vulnérabilités futures. Il a ajouté que la mise au point d’un tel outil indiquait que le groupe avait consacré des ressources à l’amélioration des capacités de ses logiciels malveillants et pouvait maintenir des équipes distinctes pour les opérations, les attaques ciblées et les outils spécialisés.
La cryptographie post-quantique repose sur des problèmes mathématiques considérés comme difficiles, même pour les ordinateurs quantiques. En revanche, certains systèmes cryptographiques largement utilisés dépendent de problèmes que les ordinateurs classiques peinent à résoudre, mais que des ordinateurs quantiques suffisamment puissants pourraient traiter plus facilement.
La première cyberattaque connue impliquant un chiffrement post-quantique a été identifiée en mars, dans le cadre d’une opération de rançongiciel attribuée à Kyber, un groupe relativement récent dont les éventuels liens avec un État restent inconnus. Lazarus a adopté une technologie similaire environ six mois plus tard, démontrant sa capacité à intégrer des outils cryptographiques avancés à son arsenal.
Anna Širokova, analyste chez Rapid7, qui a identifié l’utilisation de cette technologie par Kyber, a décrit le chiffrement post-quantique dans les rançongiciels comme pouvant constituer une tactique de marketing. Elle a estimé que cette affirmation pouvait sembler plus intimidante aux dirigeants non techniciens qui décident de verser ou non une rançon, même si les attaquants exigent généralement un paiement dans un délai court.
Les ordinateurs quantiques devraient encore être à plusieurs années, voire plusieurs décennies, d’une utilisation commerciale généralisée. Ryu a néanmoins déclaré que la décision de Lazarus de protéger à l’avance ses charges malveillantes montrait une planification à long terme et la volonté d’empêcher les défenseurs et les chercheurs d’y accéder à l’avenir.
Le rapport décrit Lazarus comme un nom générique désignant plusieurs équipes de pirates informatiques d’élite officieusement parrainées par la Corée du Nord. Contrairement à de nombreuses menaces persistantes avancées liées à des États, qui se concentrent principalement sur l’espionnage ou le sabotage, le groupe a également été utilisé pour générer des revenus pour Pyongyang dans le contexte des sanctions internationales. Il a mené d’importants vols de cryptomonnaies, notamment le vol de 1,5 milliard de dollars à Bybit en une seule journée.
Sources: El País Tecnología.